什麼是使用$ _POST變量和令牌的含義？

Question

我讀了一些PHP PDO數據消毒，來到翻過這篇文章：

PDO & Sanitize Date/Remove HTML

我相信，我的代碼使用PDOStatement對象bindParam來防止SQL注入，但是我讀這條評論（轉述）

「使用$ _ POST代幣將有助於避免CSRF」

，我很好奇，什麼是象徵性的意思，我如何實現它？

Answer 1

令牌可能是一些散列，您將它存儲在會話中，並通過表單發送。 前驗證表單數據你是否：

1. 令牌已經sended和
2. 令牌存儲在會話

一個簡單實現：

---

<?php 
    session_start(); 
    if(!isset($_SESSION['token'])) 
    { 
    $_SESSION['token']=uniqid(); 
    } 
?> 

<form method="post"> 
    <input name="token" type="hidden" value="<?php echo $_SESSION['token'];?>"> 
    <input name="something" value="some data to send"> 
    <input type="submit"> 
</form> 

<?php 
    if(isset($_POST['something'])) 
    { 
    if(!isset($_POST['token']) || $_POST['token']!==$_SESSION['token']) 
    { 
     echo 'missing a valid token'; 
    } 
    else 
    { 
     echo 'got a valid token, I will use the data'; 
    } 
    } 
?> 

---